Kerberos+LDAP+NFSv4 实现单点登录(下)

六.nfs客户机的安装 nfs客户机也即SSSD客户机,需安装sssd和nfs-common

1.安装sssd 会自动安装libsasl2-modules-gssapi-mit(非依赖) libsasl2-modules-gssapi-mit和libsasl2-modules-gssapi-heimdal两者冲突,安装libsasl2-modules-gssapi-heimdal也可以

root@debian:~# apt-get install sssd sssd-krb5 sssd-ldap libsasl2-modules-gssapi-heimdal

安装后的sssd.conf是空白文件,nsswitch.conf没改变

仅拥有者可读(SSSD文档要求sssd.conf仅root根用户可读写,否则无法启动sssd)

修改配置文件sssd.conf、nsswitch.conf

1)查看sssd.conf root@debian:~# cat /etc/sssd/sssd.conf [sssd] config_file_version = 2

services = nss, pam domains = intern

[nss]

[pam]

[domain/intern]

#--v-- unix用户信息由LDAP提供 id_provider = ldap #--^--

#--v-- 用户认证及密码修改由Kerberos提供 auth_provider = krb5 chpass_provider = krb5 #--^--

ldap_uri = ldap://192.168.1.101 ldap_search_base = ou=hdkrb5,dc=ctp,dc=net ldap_tls_reqcert = allow

krb5_server = 192.168.1.101 krb5_realm = CTP.NET

#--v-- 有的环境不设总无法认证,应该密码认证要很长时间,需设超时时间大一点 krb5_auth_timeout = 60 #--^-- root@debian:~#

2)查看nsswitch.conf root@debian:~# cat /etc/nsswitch.conf passwd: files sss group: files sss shadow: files sss

gshadow: files

hosts: files mdns4_minimal [NOTFOUND=return] dns networks: files

protocols: db files services: db files sss ethers: db files rpc: db files

netgroup: nis sss sudoers: files sss

3)安装sssd时自动设置/etc/pam.d/ linlin@debian:~$ cat /etc/pam.d/common-session-noninteractive session [default=1] pam_permit.so session requisite pam_deny.so session required pam_permit.so session required pam_unix.so session optional pam_umask.so umask=002

session [default=1] pam_permit.so session requisite pam_deny.so session required pam_permit.so session required pam_unix.so session optional pam_sss.so session optional pam_systemd.so session optional pam_umask.so umask=002

password requisite pam_pwquality.so retry=3 password [success=2 default=ignore] pam_unix.so obscure use_authtok try_first_pass sha512 password sufficient pam_sss.so use_authtok password requisite pam_deny.so password required pam_permit.so password optional pam_gnome_keyring.so

auth [success=2 default=ignore] pam_unix.so nullok_secure auth [success=1 default=ignore] pam_sss.so use_first_pass auth requisite pam_deny.so auth required pam_permit.so auth optional pam_group.so

account [success=1 new_authtok_reqd=done default=ignore] pam_unix.so account requisite pam_deny.so account required pam_permit.so account sufficient pam_localuser.so account [default=bad success=ok user_unknown=ignore] pam_sss.so linlin@debian:~$

4)重启sssd

5)测试 linlin@debian:~$ kpasswd krblinlin [email protected]'s Password: New password for [email protected]: Verify password - New password for [email protected]: Success : Password changed

Current Password: New password: BAD PASSWORD: The password is shorter than 8 characters New password: Retype new password: passwd: password updated successfully 要很长时间 krblinlin@debian:/home/linlin$

登录成功,修改密码命令kpasswd、passwd都成功.注意密码是Kerberos密码,非LDAP密码

但某些环境存在一个问题,当kdc服务器重启,SSSD客户机无法登录,需手工在kdc服务器上重启守护进程heimdal-kdc,还找不到原因.而另试另外环境很正常

2.安装nfs-common root@debian:~# apt-get install nfs-common

修改/etc/default/nfs-common文件 将 NEED_GSSD= 改为 NEED_GSSD="yes"

root@debian:~# ps -e |grep gss 1027 ? 00:00:00 rpc.gssd

1)挂载网络共享 手工挂载

或

添加到/etc/fstab,一开机挂载网络共享 root@debian:~# cat /etc/fstab UUID=c992cbf5-3eca-4434-baf9-b5a3180acdbb / ext4 errors=remount-ro 0 1 #swap was on /dev/sda5 during installation UUID=854aa36b-6ce5-436d-91fa-50aa10e8338c none swap sw 0 0 /dev/sr0 /media/cdrom0 udf,iso9660 user,noauto 0 0

#添加网络共享 srvnf.ctp.net:/home/linlin/share /mnt nfs4 rw,sec=krb5 root@debian:~#

2)查看挂载信息 linlin@debian:~$ mount|grep nfs srvnf.ctp.net:/home/linlin/share on /mnt type nfs4 (rw,relatime,vers=4.0,rsize=262144,wsize=262144,namlen=255,hard,proto=tcp,port=0,timeo=600,retrans=2,sec=krb5,clientaddr=192.168.1.102,local_lock=none,addr=192.168.1.103)

3)测试写网络共享

可看到已获取显示ldap用户信息,krblinlin为ldap用户

在普通本地用户下 linlin@debian:~$ su krblinlin Password: 或控制台直接登录 debian login: krblinlin Password:

写成功

至此,以LDAP作为存储用户信息,以Kerberos作为身份认证,SSSD客户机已成功访问读写NFSv4服务器网络共享

七.后记 本文的目的是要打造一个类似FreeIPA、AD活动目录,而完善的Kerberos系统还需DNS、DHCP配合,所以本文也仅仅实验而已.

实现单点登录的方案多种多样.LDAP同时也提供简单用户认证,如果不需应用NFSv4或NFSv4采用弱的系统认证,无需搭建Kerberos,仅LDAP就可满足单点登录;而samba4可轻松打造一个linux下的活动目录.

Kerberos系统最初由麻省理工开发,即MIT Kerberos项目 ( http://web.mit.edu/kerberos/ ),当前很活跃 另一Kerberos系统即本文的Heimdal Kerberos项目( http://www.h5l.org/ ).

为何本文选Heimdal而不选MIT,前文已讲过,一是使用LDAP作为Kerberos后端,二是避免存储明文的ldap数据库管理员密码. 1)MIT通过插件支持LDAP作为后端,文档也说明支持EXTERNAL,但我搞不掂配置怎支持EXTERNAL,查看源码也看不出头绪 st = ldap_sasl_interactive_bind_s(server->ldap_handle, NULL,ctx->sasl_mech, NULL, NULL,LDAP_SASL_QUIET, interact, ctx); 通过配置文件将"EXTERNAL"传递到ctx->sasl_mech

查找了资料好象ldap_sasl_interactive_bind_s 使用 EXTERNAL 之前要先ldap_get_option有关LDAP_OPT_X_SASL_AUTHZID,虽MIT源码有ldap_get_option,但里边是几个写死的LDAP_OPT_xxxx,与认证无关,也没找到和SASL相关

2)Heimdal内置支持LDAP作为后端,缺省支持EXTERNAL,查看源码简单明了 rc = ldap_sasl_bind_s(HDB2LDAP(db), NULL, "EXTERNAL", &bv,NULL, NULL, NULL);

3)openldap的同步密码插件只支持Heimdal

2.openldap同步密码 当有时以Kerberos登录,有时要以LDAP登录,要维护记住两套密码是麻烦的事情.有3种方法可只使用一个密码

方法1: 使用{SASL}方式,需配置如下面

userPassword属性填上固定值{SASL} 此方法是搜索网上的方法,本人未试过.

方法2和方法3:安装openldap的同步密码插件slapd-smbk5pwd

方法2: userPassword属性填上固定值{K5KEY} 方法2和方法1都要注意不要改动到userPassword属性的值,并且修改密码只能用Kerberos方式

方法3: 修改密码只能用LDAP方式,且只能用类似ldappasswd命令的方式,同时修改了userPassword、krb5Key . ldappasswd is a tool to set the password of an LDAP user. ldappasswd uses the LDAPv3 Password Modify (RFC 3062) extended operation. 注意ldappasswd是LDAP一扩展操作,详细请参考RFC 3062. 我对ldappasswd的理解应该是发送未经散列的明文密码到LDAP服务器,由LDAP服务器自己散列成密文存储到ldap数据库. 而普通ldap修改密码是要自己在客户端将明文密码散列成密文,LDAP服务器不再变换而存储到ldap数据库,也就是说本来LDAP的密码属性和其它属性没什么区别,普通ldap修改密码的方式就是如同修改其它属性值. 方法3可做到Kerberos、LDAP、samba三套密码同步

本文采用方式2或方式3 1)安装

slapd-smbk5pwd : Keeps Samba and Kerberos passwords in sync within slapd

2)加载模块

3)前面已安装了heimdal-kdc,并LDAP已添加加了heimdal模式,因本文目的只要同步Heimdal,不同步samba,所以无需添加samba模式

4)将/var/lib/heimdal-kdc/m-key改为openldap用户拥有 m-key原权限是root拥有,仅root读写.而openldap是以openldap用户启动. 如不先改m-key权限,而先执行步骤5),则会因无权限而ldapadd出错

root@debian:~# chown openldap /var/lib/heimdal-kdc/m-key

5)启用同步

6)重启openldap 通常在线配置,是立即生效,但因/var/lib/heimdal-kdc/m-key文件权限问题,所以还是重启openldap为好

7)测试 以普通本地用户登录

这样修改LDAP用户的密码同时也修改了Kerberos用户密码,用Kerberos用户密码登录也正常

注意/var/lib/heimdal-kdc/m-key文件权限要确保正确(否则虽ldappasswd提示成功,但实际krb5Key属性的值是破损的,无法以Kerberos用户密码登录)

3.因LDAP安装过程自动设置了可匿名读取除userPassword外的其它属性,而krb5Key属性应是包含Kerberos密码信息,是否需设置非本Kerberos用户禁止读取krb5Key ? 本人不才,未见有相关资料有明确设置禁止,是不是即使krb5Key被非法获取,没有/var/lib/heimdal-kdc/m-key也无法破解密码吗?

4.设置非本地用户SSSD登录自动创建用户目录 上面的实验krblinlin登录到客户机,该客户机不存在krblinlin的用户目录. 可使用pam_mkhomedir.so来自动创建用户目录,pam_mkhomedir.so在libpam-modules包中 1)安装 root@debian:~# apt-get install libpam-modules

2)到/etc/pam.d/common-session中增加一行pam_mkhomedir.so,内容大致如下 ... session required pam_unix.so

#--v-- 新增一行,自动创建用户目录 session required pam_mkhomedir.so umask=0077 #--^--

session [success=ok default=ignore] pam_ldap.so minimum_uid=1000 ...

3)登录 debian login: krblinlin Password: Creating directory '/home/krblinlin'.已正常首次登录创建用户目录

5.文件系统的ACL(访问控制列表) 虽说NFSv4的是 NFSv4 acl,但本实验仍是posix acl,猜测NFSv4 acl可能需本地文件系统支持吧,好象只有zfs本地文件系统才支持NFSv4 acl

6.域 LDAP域和Kerberos域可以不同

即Kerberos的realm是CTP.NET LDAP的基本DN 可以是dc=oled,dc=com

7.其它 debian 9安装openldap过程是使用mdb作为LDAP的后端,而LDAP还可选hdb等其它作为后端.选不同的后端,其配置目录、文件名称及配置数据库条目内容按后端名称 如本实验是mdb

如要重新创建ldap数据库 root@debian:~# dpkg-reconfigure slapd 配置过程中假如选hdb作为后端,则相关内容是hdb

查看ldap数据库 root@debian:~# slapcat

查看配置数据库 root@debian:~# slapcat -b cn=config

八.修正 实验时的环境是 debian 9 testing 版 第三章节第1小节的2)设置ACL访问控制列表,那行'将'

不记得是openldap安装包脚本本身设定的,还是我自己弄错,原'改为'那行也照抄to * by self write 这是严重的漏洞及错误.'to * by self write'会允许ldap用户修改本身条目的任何属性, 如ldap用户可将自己的unix　的uidNumber设为0即根用户,这很危险,即普通用户可以提权自己(虽然ldap客户机默认配置将ldap的uidNumber值为0映射为非根用户)或冒充其他用户. 所以,原则ldap用户只允许修改本身及只能修改密码属性,其他属性只能由管理员设置.

因此,原'改为'那行 olcAccess: {2}to * by self write by dn="cn=admin,dc=ctp,dc=net" write by dn.exact=gidNumber=0+uidNumber=0,cn=peercred,cn=external,cn=auth manage by * read 实际是需改为 olcAccess: {2}to * by dn="cn=admin,dc=ctp,dc=net" write by dn.exact=gidNumber=0+uidNumber=0,cn=peercred,cn=external,cn=auth manage by * read

本文已作了修正

附debian 10 testing 版 openldap安装后未经'改为'的原始完整olcAccess配置